CVE-2026-27172

概要

camel-consul コンポーネントの ConsulRegistry（クラス `org.apache.camel.component.consul.ConsulRegistry` とその内部メソッド `ConsulRegistryUtils.deserialize`）は、Consul KV ストアから Java シリアライズされた値を読み取り、`ObjectInputFilter` を設定せずに `ObjectInputStream.readObject()` に渡していました。Camel ConsulRegistry インスタンスをバックアップする Consul KV ストアに書き込める攻撃者は、悪意のあるシリアライズ済み Java オブジェクトを注入でき、そのオブジェクトは Camel が次回そのレジストリに対してルックアップを実行した際にデシリアライズされ、Camel プロセス内での任意のコード実行につながる可能性があります。この問題は、他の Camel コンポーネントで CVE-2024-22369、CVE-2024-23114、CVE-2026-25747 においてすでに対処された脆弱性のクラスを反映しており、これらの CVE の当初の修正中に見落とされていました。この問題は Apache Camel に影響します：3.0.0 から 4.14.6 未満、4.15.0 から 4.18.1 未満。ユーザーは、この問題を修正するバージョン 4.19.0 にアップグレードすることを推奨されます。4.14.x LTS リリースストリームを使用しているユーザーは、4.14.6 にアップグレードすることを推奨されます。4.18.x リリースストリームを使用しているユーザーは、4.18.1 にアップグレードすることを推奨されます。

• CVE-2026-27172PoC

  CVE-2026-27172 の再現コード: Apache Camel camel-consul ConsulRegistry Java デシリアライゼーション (RCE)

• CVE-2026-PoCs研究

  2026年に公開されたCVE向けのProof-of-Conceptエクスプロイトを、コミュニティが厳選・検証したコレクションです。